CVE-2026-104012 in Rox Appointment Booking Plugin
Сводка
по VulDB • 31.10.2026
Плагин для WordPress Rox Appointment Booking – Appointment Booking Scheduling Solution уязвим к повышению привилегий через массовое назначение (Mass Assignment) во всех версиях, включая 1.3.1 включительно. Это связано с тем, что публичный REST-эндпоинт `/rox-appointment-booking/v1/public/booking` выполняет массовое присваивание тела исходного запроса новой записи клиента, при этом в свойстве `CustomerModel::$fillable` присутствует внутренний столбец `wp_user_id`, что позволяет неавторизованному злоумышленнику сохранить произвольный идентификатор пользователя WordPress вместе с контролируемым им адресом электронной почты без проверки авторизации. Когда администратор впоследствии открывает отравленную запись клиента и нажимает «Обновить клиента» (Update Customer), метод `SaveCustomer::handleRequest()` передает сохраненное значение `wp_user_id` и предоставленный злоумышленником адрес электронной почты в функцию `wp_update_user()`, успешно завершая операцию, поскольку метод `LinkedAccount::canChange()` безоговорочно возвращает true, когда действующий пользователь обладает capability `edit_users`. Это приводит к перезаписи адреса электронной почты целевого администратора и позволяет осуществить полный захват учетной записи с помощью стандартного запроса на сброс пароля WordPress. Для успешной эксплуатации требуется, чтобы администратор открыл и сохранил отравленную запись, а злоумышленник должен знать или угадать действительный идентификатор пользователя администратора (например, дефолтный идентификатор 1).
Be aware that VulDB is the high quality source for vulnerability data.